Cumplimiento de la normativa sobre grabación de llamadas: una guía práctica (2026)

Descargo de responsabilidad: Este artículo contiene información general y no constituye asesoramiento legal. Las leyes sobre grabación de llamadas, consentimiento y protección de datos varían considerablemente según el país, el estado y el sector, y además, están sujetas a cambios. Consulte con un abogado especializado para confirmar sus obligaciones específicas antes de aplicar cualquier práctica aquí descrita.

La grabación de llamadas es una de las actividades más útiles —y a la vez más delicadas desde el punto de vista legal— que realiza un centro de contacto saliente. Las grabaciones permiten garantizar la calidad, capacitar a los agentes, resolver disputas y obtener evidencia para fines regulatorios. Sin embargo, una grabación realizada sin el consentimiento adecuado o gestionada sin las medidas de seguridad necesarias puede convertirse en un problema. Esta guía aborda las preguntas clave que todo centro de contacto regulado, ya sea de externalización de procesos de negocio (BPO), de cobranza, de revendedor de telecomunicaciones o de cualquier otro tipo, debe responder: cuándo se puede grabar, cómo se debe informar a los usuarios, cuánto tiempo se pueden conservar las grabaciones y qué controles técnicos garantizan el cumplimiento normativo.

Consentimiento de una sola parte frente a consentimiento de dos partes (de todas las partes)

El concepto más importante en la ley de grabación de llamadas es quién tiene que estar de acuerdo antes de que se grabe una conversación. En términos generales, las jurisdicciones se dividen en dos grupos:

• Consentimiento de una sola parte: Solo uno de los participantes en la llamada necesita dar su consentimiento para la grabación. Dado que su propio agente participa en la llamada y da su consentimiento al realizar la grabación, las normas que exigen el consentimiento de una sola parte suelen ser el estándar más fácil de cumplir.
• Consentimiento de todas las partes (dos partes): Todos los participantes deben dar su consentimiento. En la práctica, esto significa que se necesita el acuerdo informado de la otra parte, que generalmente se obtiene mediante una declaración clara al inicio de la llamada, además de su participación continua, o un "sí" explícito.

En Estados Unidos, esta división varía de estado a estado. La mayoría de los estados siguen una regla de un solo partido, pero varios estados requieren el consentimiento de todos los partidos. California es el ejemplo más citado, y otros estados como Florida, Illinois, Pensilvania y Washington se agrupan comúnmente en la categoría más estricta. La lista exacta y sus matices cambian con el tiempo y según los hechos, por lo que deliberadamente no Aquí se publica una tabla exhaustiva con los 50 estados; considérelos solo como ejemplos conocidos y verifique la normativa vigente para cada estado al que se conecte.

Dos complicaciones prácticas son importantes para los equipos de trabajo externo:

• Llamadas transfronterizas. Cuando las partes se encuentran en jurisdicciones diferentes, puede aplicarse la norma más estricta. Una opción segura por defecto para campañas multiestatales o internacionales es operar como si se requiriera el consentimiento de todas las partes.
• La prueba de la "expectativa razonable de privacidad". Muchas leyes dependen de si una de las partes esperaba razonablemente que la conversación fuera privada. Una divulgación clara y directa aborda este problema al eliminar la expectativa de una llamada privada y no grabada.

Divulgación y notificación: la norma práctica

Debido a que a menudo no se puede saber de antemano qué norma de jurisdicción rige una llamada determinada, la mejor práctica operativa es: revelar la grabación en cada llamadaUn aviso breve y claro —"Esta llamada puede ser grabada con fines de calidad y capacitación"— al comienzo de la conversación hace la mayor parte del trabajo:

• Elimina cualquier expectativa razonable de privacidad.
• Le da a la persona llamada la oportunidad de objetar o colgar antes de que comience la discusión principal.
• Crea un patrón coherente y auditable en todas las campañas y en todos los idiomas.

En operaciones multilingües, la información debe proporcionarse en el idioma en que se realiza la llamada. La coherencia y la verificabilidad son tan importantes como la redacción: poder demostrar que se activó una solicitud de información en una llamada determinada suele ser más valioso que cualquier variación del guion.

GDPR : base jurídica y transparencia en la UE

En la UE y el Reino Unido, una grabación de voz que puede identificar a una persona es datos personalesPor lo tanto, el Reglamento General de Protección de Datos (RGPD) se aplica además de cualquier norma sobre el consentimiento para el registro de datos. Dos pilares GDPR son especialmente relevantes:

• Base legal. Necesitas una base válida para procesar la grabación; normalmente, intereses legítimos (con una ponderación documentada), ejecución de un contrato o consentimiento explícito, según la finalidad. Consentimiento para ser grabado y una base legal para proceso Las grabaciones están relacionadas pero son distintas.
• Transparencia. Se debe informar a las personas, de forma clara y con antelación, que están siendo grabadas, por qué, durante cuánto tiempo se conservará la grabación y cómo ejercer sus derechos (acceso, supresión, oposición). Los datos de categoría especial (por ejemplo, los datos de salud que aparecen en una llamada de atención médica o de un servicio de salud) están sujetos a condiciones más estrictas.

Para obtener una explicación más detallada del GDPR en lo que respecta a las llamadas salientes, consulte nuestra Guía GDPR para centros de llamadas salientes.

Consideraciones del GCC PDPL

En los países del Consejo de Cooperación del Golfo, las leyes de protección de datos personales (LPDP) en mercados como Arabia Saudita, los Emiratos Árabes Unidos, Baréin y Catar imponen cada vez más obligaciones similares GDPR : una base jurídica definida, transparencia para el individuo, limitación de la finalidad, minimización de datos y, en varios regímenes, controles de residencia de datos o transferencia transfronteriza. Si graba llamadas de clientes o personas que llaman desde países del CCG, tenga en cuenta los requisitos de notificación locales y esté preparado para documentar dónde se almacenan las grabaciones y quién puede acceder a ellas. Como en cualquier otro lugar, confirme el texto vigente y las normas sectoriales con un asesor legal local.

Superposiciones sectoriales: PCI-DSS y atención médica

Algunos contenidos son tan delicados que las reglas generales no son suficientes:

• Datos de tarjetas de pago (PCI-DSS). Si una persona que llama lee en voz alta el número de tarjeta y el código de seguridad, almacenar ese audio puede ponerlo dentro del alcance de PCI-DSS. El enfoque estándar es: pausar y reanudar Se graba, o se enmascara el audio, en el momento en que se capturan los datos de la tarjeta, de modo que los datos de autenticación confidenciales nunca se escriben en la grabación.
• Servicios de salud y otras categorías especiales. Información médica, detalles sobre dificultades financieras y contenido sensible similar exigen mayor legitimidad, control de acceso y retención de datos. Minimice la información que recopila, restrinja quién puede acceder a ella y reduzca el período de retención cuando esté justificado.

Almacenamiento seguro: cifrado en tránsito y en reposo.

Una grabación cumple con la normativa en la medida en que lo hace el entorno que la contiene. Los requisitos básicos para las operaciones reguladas incluyen:

• Cifrado en tránsito De este modo, las grabaciones y sus metadatos quedan protegidos durante su transferencia entre sistemas.
• Cifrado en reposo Por lo tanto, el audio y las transcripciones almacenadas resultan ilegibles si el sistema de almacenamiento subyacente se ve comprometido.
• Segregación e integridad De esta forma, las grabaciones quedan separadas lógicamente por inquilino o campaña y no pueden modificarse sin que el usuario se dé cuenta.

Controles de acceso y privilegio mínimo

Quién puede escuchar una grabación es tan importante como si existe. Aplique los principios de mínimo privilegio: otorgue acceso por rol, no de forma generalizada; requiera autenticación; y, fundamentalmente, registrar cada acceso De esta forma, se puede demostrar quién escuchó qué y cuándo. Los registros de acceso suelen ser la prueba que convence a un auditor o responde a una queja del interesado. La censura o el enmascaramiento de campos sensibles limita aún más la exposición, incluso para el personal autorizado.

Retención y eliminación

"¿Cuánto tiempo debemos conservar las grabaciones de llamadas?" es una de las preguntas más comunes, y hay ningún número universal únicoLa retención de personal está determinada por fuerzas contrapuestas, y el período adecuado es el resultado de equilibrarlas para su sector y jurisdicción:

• Mínimos reglamentarios. Algunos regímenes exigen conservar ciertos registros durante un período determinado (por ejemplo, pruebas de resolución de disputas o de verificación en contextos financieros o de telecomunicaciones regulados).
• Se suspenden las disputas y los litigios. Las grabaciones vinculadas a una disputa, queja o asunto legal en curso deben conservarse hasta que el asunto se cierre, prevaleciendo sobre la eliminación rutinaria.
• Presión para minimizar los datos. Normativas como GDPR y PDPL apuntan en la dirección opuesta: no se deben conservar los datos personales durante más tiempo del necesario para la finalidad declarada.

La respuesta práctica es establecer un calendario de retención documentado Para cada tipo de registro, aplique la eliminación automática al expirar el período y admita retenciones legales que suspendan la eliminación de registros específicos. Dado que los mínimos y las normas varían considerablemente, defina su cronograma con un asesor legal en lugar de adoptar una cifra que encuentre en línea.

Consideraciones sobre la transcripción mediante IA

La transcripción y el análisis de grabaciones aportan valor —control de calidad con capacidad de búsqueda, marcadores de palabras clave, resúmenes—, pero una transcripción sigue siendo información personal y hereda las mismas obligaciones que el audio del que procede. Puntos a tener en cuenta:

• Las transcripciones y los análisis derivados se incluyen en la misma base legal, acceso y retención reglas como grabación de origen.
• El procesamiento automatizado puede generar mayor transparencia o, en algunos regímenes, medidas de seguridad en torno a decisiones automatizadas importantes, como mantener a un ser humano involucrado en los resultados trascendentales.
• La transcripción multilingüe debe ser manejada por IA sensible al lenguaje De esta forma, la precisión se mantiene en todos los idiomas que hablan realmente sus agentes.

Vea cómo encaja la transcripción junto con la grabación en Transcripción DialerBee.

Mejores prácticas por dimensión

Controles de registro que respaldan el cumplimiento

La política solo funciona cuando la herramienta la aplica. DialerBee proporciona controles que respaldan el cumplimiento que hacen que las prácticas anteriores sean operativas en lugar de aspiracionales:

• Solicitudes de obtención y divulgación del consentimiento — Anuncios de grabación configurables que se reproducen automáticamente, por campaña y por idioma, con un registro de que se activó el aviso. Ver grabación de llamadas.
• Cifrado — grabaciones y transcripciones protegidas durante su transporte y en reposo.
• Configuración de retención — Programaciones de retención por tipo con eliminación automatizada y soporte para retenciones legales.
• Registros de acceso — Acceso basado en roles con un registro de quién escuchó qué y cuándo.
• Automatización de políticas — reunir las normas de grabación, consentimiento y retención con piloto automático de cumplimiento y el más amplio controles de cumplimiento.

Estos controles respaldan, pero no garantizan por sí solos, el cumplimiento; sus políticas, capacitación y revisión legal siguen siendo esenciales. Para conocer las reglas estrechamente relacionadas sobre cuándo puede realizar una llamada, combine esto con nuestra Guía de cumplimiento de la TCPA.

Preguntas frecuentes

¿Necesito el consentimiento de una o de ambas partes para grabar una llamada?

Depende de la ubicación de las partes. Algunas jurisdicciones permiten el consentimiento de una sola parte, lo que significa que solo un participante (a menudo su agente) debe dar su consentimiento, mientras que otras requieren el consentimiento de todas las partes (dos partes). California es un ejemplo conocido de la norma más estricta. En campañas multiestatales o transfronterizas, lo más seguro es tratar cada llamada como si requiriera el consentimiento de todas las partes y notificar de antemano que se realizará la grabación. Consulte con su abogado para confirmar las normas específicas que se aplican.

¿Basta con decir "esta llamada puede ser grabada"?

Una divulgación clara al inicio de la llamada es una buena práctica y, en muchas jurisdicciones unilaterales, permite obtener el consentimiento necesario, ya que elimina cualquier expectativa razonable de privacidad y brinda a la persona la oportunidad de oponerse. En jurisdicciones multipartitas y bajo regímenes de protección de datos como GDPR , también puede ser necesario el consentimiento documentado u otra base legal, además de un aviso de transparencia más completo. La divulgación es necesaria, pero no siempre suficiente por sí sola.

¿Cuánto tiempo debo conservar las grabaciones de las llamadas?

No existe una cifra única y universal. La retención de datos está determinada por los mínimos reglamentarios, las retenciones por litigios o disputas en curso y las normas de minimización de datos que exigen conservarlos solo durante el tiempo necesario. El enfoque práctico consiste en un calendario de retención documentado para cada tipo de registro, la eliminación automática al expirar el plazo y la posibilidad de anular las retenciones legales, todo ello definido con el asesor legal correspondiente a su sector y jurisdicción, en lugar de basarse en una cifra genérica.

¿Cómo puedo mantener el cumplimiento de la normativa PCI-DSS cuando las personas que llaman leen los números de tarjeta en voz alta?

Evite por completo capturar datos de la tarjeta en la grabación. La técnica estándar consiste en pausar y reanudar la grabación —o enmascarar el audio— justo en el momento en que se pronuncian el número de tarjeta y el código de seguridad, de modo que los datos de autenticación confidenciales nunca se almacenen. Esto permite que la grabación sea útil para el control de calidad y, al mismo tiempo, reduce el alcance de la normativa PCI-DSS.

¿Las transcripciones de las llamadas tienen las mismas obligaciones legales que el audio?

Sí. Una transcripción que permite identificar a una persona es un dato personal y, por lo tanto, está sujeta a las mismas obligaciones legales, de control de acceso y de conservación que la grabación original. El análisis automatizado puede requerir mayor transparencia, y para evaluar las consecuencias, es fundamental contar con la supervisión humana. Las transcripciones, incluidas las multilingües generadas por IA con reconocimiento lingüístico, deben manejarse con el mismo cuidado que las grabaciones originales.